#GateLancaPoSECProvaDeSeguranca

A PoSEC não pergunta «tem reservas?». Faz uma pergunta mais difícil: «se as suas carteiras quentes forem atacadas, o seu armazenamento a frio, por si só, continua a cobrir o que deve?»

Essa mudança é o objetivo. A maioria das verificações de reservas mostra os ativos totais. A PoSEC verifica onde esses ativos estão e o que acontece no pior cenário.

A 5 de novembro, foi lançado um novo quadro de segurança chamado Prova de Segurança, PoSEC. O primeiro instantâneo foi tirado às 00:00 UTC de 4 de novembro. Mostrou um rácio de cobertura do armazenamento a frio de 104.58%.

Leia esse número com atenção, porque não é o mesmo que um rácio de reservas normal.

O que a PoSEC mede efetivamente

A PoSEC introduz uma métrica fundamental: o rácio de cobertura do armazenamento a frio.

Cobertura do armazenamento a frio = ativos em armazenamento a frio / ativos totais dos utilizadores.

O armazenamento a frio refere-se a ativos mantidos offline, afastados de sistemas ligados à internet. As carteiras quentes são carteiras online, usadas para negociação diária, levantamentos e liquidação rápida.

No instantâneo de 4 de novembro:
• Armazenamento a frio: 88.26% dos ativos totais
• Carteiras quentes: 11.74% dos ativos totais
• Cobertura do armazenamento a frio: 104.58%
104.58% significa que o armazenamento a frio, por si só, cobre mais de 100% do que é devido aos utilizadores. Mesmo que todas as carteiras quentes fossem eliminadas numa violação de segurança, o armazenamento a frio, por si só, continuaria a cobrir os ativos dos utilizadores, deixando ainda uma pequena margem.

Isto é diferente de dizer «as reservas totais são 118.49%». A 18 de outubro, as reservas totais eram de cerca de $8.688 mil milhões, com um rácio de reservas global de 118.49%. As reservas totais incluem tanto o armazenamento a frio como o armazenamento a quente. A PoSEC exclui a parte quente e pergunta: a parte fria, por si só, é suficiente?

Para um utilizador, essa é a pergunta mais útil. As carteiras quentes são a parte mais exposta a ataques. O armazenamento a frio é a parte que deve resistir a eles.

O que a PoSEC NÃO mede

A PoSEC é sólida no que diz respeito ao armazenamento. Sobre outros riscos, não dá indicações. Esse limite é importante.

Não prova como são geridas as chaves. Não prova quem pode movimentar os ativos em armazenamento a frio, quantas aprovações são necessárias ou como são controladas as palavras-passe e os acessos. Não prova a eficácia dos controlos internos, o acesso dos funcionários ou o risco dos fornecedores. Não prova que uma plataforma consegue continuar a funcionar durante uma crise; prova apenas que, no papel, os ativos em armazenamento a frio conseguem cobrir os saldos dos utilizadores.

Também é um instantâneo, não uma transmissão em direto. Um instantâneo às 00:00 UTC de 4 de novembro informa sobre a situação naquele minuto. Não informa sobre a situação às 00:01 nem na semana seguinte. O valor da PoSEC depende da frequência com que os instantâneos são repetidos e de serem verificados por uma auditoria independente.

As notas de lançamento mencionam uma auditoria independente dos valores. Essa auditoria é o ponto a acompanhar. Um rácio declarado pela própria entidade, sem uma auditoria recente, é uma afirmação. Um rácio com uma verificação independente recente é uma prova.

Como interpretar o número 104.58%

Não o interprete como «seguro para sempre». Interprete-o em três partes:
1. Mais de 100% é o limiar de aprovação. Abaixo de 100%, o armazenamento a frio, por si só, não seria suficiente. Os 104.58% ultrapassam esse limiar, mas a margem é reduzida: 4.58 pontos acima da cobertura total. É uma aprovação, não uma fortaleza.
2. A repartição é tão importante como o rácio. 88.26% em armazenamento a frio / 11.74% em carteiras quentes significa que a maioria dos ativos está offline. Se a percentagem em carteiras quentes fosse de 30% ou 40%, seria mais difícil manter os mesmos 104.58%, porque haveria mais ativos na camada exposta.
3. A tendência é mais importante do que um único valor. Um instantâneo de 104.58% é um começo. Dois, três ou quatro instantâneos acima de 100% demonstrariam disciplina. Um instantâneo abaixo de 100% indicaria pressão, mesmo que as reservas totais continuassem a parecer sólidas.
O meu plano de verificação da PoSEC, por etapas

Não avalio um quadro de segurança no dia do lançamento. Avalio-o ao longo do tempo.

Primeira verificação agora: O primeiro instantâneo é claro? Sim. A data, a hora, a percentagem em armazenamento a frio, a percentagem em carteiras quentes e o rácio de cobertura são todos indicados. Essa clareza é um ponto positivo.

Segunda verificação próximo instantâneo: A cobertura mantém-se acima de 100%? A percentagem em armazenamento a frio mantém-se perto de 88% ou acima? Se essa percentagem descer enquanto as reservas totais se mantêm elevadas, isso significa que mais ativos estão a passar para carteiras quentes. É um sinal de alerta.

Terceira verificação auditoria e frequência: Cada instantâneo é acompanhado por uma auditoria independente? A publicação é regular ou deixa de haver atualizações após o lançamento? Um quadro que deixa de dar notícias após o lançamento é marketing. Um quadro que continua a publicar é um processo.

O que aumentaria a minha confiança:
• A cobertura manter-se acima de 100% em vários instantâneos;
• A percentagem em armazenamento a frio manter-se elevada e a das carteiras quentes, baixa;
• As notas de auditoria continuarem atualizadas e específicas, sem serem vagas.
O que diminuiria a minha confiança:
• A cobertura descer abaixo de 100%, mesmo que apenas uma vez;
• A percentagem em carteiras quentes aumentar rapidamente sem uma justificação clara;
• A publicação de instantâneos parar ou a linguagem das auditorias tornar-se vaga.
A PoSEC não é uma promessa de que não possa haver nenhum ataque informático. É uma promessa de que, se a camada quente for atingida, a camada fria, por si só, continuará a cobrir os utilizadores. Com 104.58% a 4 de novembro, essa promessa foi cumprida. Os próximos instantâneos mostrarão se continua a ser cumprida.

#WCTCS9
#ShareWeekly